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CARDS 

(54) Bezeichnung: VERFAHREN UND ANORDNUNG ZUM SCHUTZ VON ELEKTRONISCHEN RECHENEINHEITEN. INSBESON- 
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(57) Abstract 

The invention concerns a method and 
arrangement for protecting electronic com- 
puting units from undesired access. Ac- 
cording to the invention, the side of the 
unit (I) exposed to attack is provided with 
a casing (2) having inhomogeneous prop- 
erties. The unit (1) determines measured 
values at at least one set measuring point 
on the casing (2) when specific signals have 
been applied by the unit (1) to the casing 
(2) at a set signal-output point, a signature . 
characteristic of an intact casing (2) at the 
time of the measurement being formed us- 
ing the measured values. 

(57) Zusammenfassung 

Die Erfindung bctrifft ein Verfahren 
und eine Anordnung zum Schutz von 
elcktronischen Recheneinheiten gegen 
unerwQnschten Zugriff. ErfindungsgemaB 
ist vorgesehen, daB die einem Angriff 
ausgesetzte Seite der Einheit (1) mit 
einer Ummantelung (2) mit inhomogenen 
Eigenschaften versehen wird, daB von der 

Einheit (1) MeBwerte an zumindest einer festgelegten MeBstclle an der Ummantelung (2) ermittelt werden, nachdem an einer festgelegten 
Signalaufgabes telle an die Ummantelung (2) von der Einheit (1) definierte Signale angelegt wurden, und daB mit den MeBwerten eine fiir 
eine unversehrte Ummantelung (2) zum Zeitpunkt der Vermessung charakteristische Signatur gebildet wird. 
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1 Verfahren und Anordnung zum Schutz von elektronischen Recheneinheiten, insbesondere 

von Chipkarten. 

5 Die Erfindung betrifft ein Verfahren gemali dem Oberbegriff des Patentanspruches 

1. Des weiteren . betrifft die Erfindung eine Anordnung gemali dem Oberbegriff des 
Patentanspruches 18. 

Bek^nnt ist der Schutz von Daten und Programmen, die in elektronischen Einheiten 
bzw. Schaltungen enthalten sind. durch Verschlusseiung dieser Daten und Programme 

10 Oder durch elektrische und/oder mechanische, den Zugriff bzw. den Zutritt verhindernde 
SchutzmaSnahmen. wie z.B. Codekarten fur eine Zutrittsberechtigung bzw. die Anordnung 
derartiger Einheiten in Sicherheitsraumen usw.. Wird bei derartig gesicherten Einheiten der 
vorgesehene Schutz ausgeschaltet bzw. durchdrungen, so wird ein Ausspahen des 
gegebenenfalls verschlusselt enthaltenen inhalts der elektronischen Einheiten moglich. Als 

15 Beispiel wird dazu aijf mit Codekarten gesicherte Turen von zutrittsgesicherten 
Rechenaniagen venA/ieseri. Bei einer Reihe von Recheneinheiten bzw, Datentragern. z.B. 
Chips auf Chipkarten. erfolgt eine Sicherung gegen ein Ausspahen von Daten und 
Programmen lediglich durch Verschlusseiung dieser Daten; eine Sicherung gegen 
unerlaubten Zugriff zum Chip ist minimal oder nicht gegeben; bei einer Chipkarte ist ein 

20 mechanischer Zugriff auf die Daten bzw. deren Entnahme meist nach chemischer 
Entfernung der Kunststoffschicht mit einer durch eine vorhandene Passivierungsabdeckung. 
des Chips durchgestochenen Tastnadel moglich. 

Das wesentiiche Ziel der Erfindung ist somit ein Schutz von elektronischen Einheiten'^ 
gegen ein Ausspahen, insbesondere durch mechanische Manipulationen bzw. Angriffe 

25 jeglicher Art. Ein weiteres wesentliches Ziel der Erfindung ist es zu verhindern. dali selbst 
fur den Fall, daft mechanisch Zutritt zu der elektronischen Einheit eriangt wird. ein 
Ausspahen bzw. Auslesen und ein Weiterverwenden von Daten und/oder Programmen. die 
in der elektronischen Einheit enthalten sind und/oder ein ordnungsgemalier weiterer Betrieb 
dieser Einheit nach dem Zugriff unmoglich gemacht wird. SchlieBlich ist es weiteres Ziel der 

30 Erfindung. mit einer derart geschutzten Einheit den Schutz von von dieser Einheit 
unabhangigen Gegenstanden zu erreichen, 

Diese Ziele werden bei einem Verfahren der eingangs genannten Art durch die im 
Kennzeichen des Anspruches 1 angefuhrten Merkmale erreicht. Bei einer Anordnung der 
eingangs genannten Art wird dieses Ziel durch die im Kennzeichen des Patentanspruches 

35 18 angefuhrten Merkmale erreicht. 

Grundlage fur die erfindungsgemalie Vorgangsweise ist eine Feststellung der 
Unversehrtheit der bei einem unerwunschten Zugriff zu der zu schutzenden elektronischen 
Einheit zu uben/vindenden Ummantelung. Jede Verietzung bzw. Beschadigung der 
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1 Ummantelung durch eine mechanische Oder anders geartete Einwirkung beim Zugriff 
verandert unwiderruflich und unnachahmbar deren Eigenschaften, insbesondere deren 
elektrische Eigenschaften. Eine Verletzung der Ummantelung fiihrt dazu, daS die Einheit 
nicht mehr ordnungsgemaS in Funktion gesetzt werden kann. weil die bei der Initialisiemng 
5 der Einheit ermittelte Signatur zur Programmabarbeitung bzw. EntschiCisselung der 
ursprunglich gespeicherten Daten und/oder Programmen benotigt wird nicht zur Verfugung 
steht und nicht mehr ersteilt werden kann Oder weil die Einheit bei Feststellung einer sich 
gegenuber'der ursprQnglich ermitteiten Signatur veranderten Signatur ihre Funktion 
einstellt. Die Einheit ist durch die Ummantelung geschutzt bzw. befindet sich im Inneren der 
10 Ummantelung, und agiert von dieser geschutzten Lage aus. Jeder Versuch, mechanisch 
Zutritt zur Einheit zu erhalten, ist zum Scheitern verurteilt, da jeder Zugriff eine 
mechanische Beschadigung der Ummantelung bewirkt, sei es z.B. durch Anbringung von 
Offnungen oder Versuche. die Schutzschicht zu penetrieren, wodurch es zu einer 
bleibenden Veranderung ihrer Eigenschaften und somit der Signatur kommt. Bei Anordnung 
15 einer entsprechenden Zahl von Signalaufgabestellen und MeBpunkten, z.B. In dem 
Ausmali von jeweils vier Stellen bzw. Punkten je cm^ wird es bereits mit geringem 
Meliaufwand gut mogiich. durch Nadelstiche auf dieser Flache von 1 cm^ hervorgemfene 
Eigenschaftsanderungen der Ummantelung festzustellen. 

Aufgrund der erfindungsgemalien Vorgangsweise erhalt ein Eingreifer durch 
20 Manipulationen auf technisch-physikalischer Ebene, insbesondere durch mechanischen 
Angriff keine relevanten Informationen bezugiicii der Daten und/oder Programme, die in 
der Einheit unter Verwendung der Signatur gespeichert vorliegen oder abgearbeitet 
werden; dies insbesondere deshalb, da die bei der initialisierung eingespeicherten Daten 
und/oder Programme mit der Signatur verschlusselt sind, diese Signatur aber 
25 vorteilhafterweise nicht abgespeichert wird. Somit ist bei jeder Inbetriebnahme die Signatur 
neu zu ermittein, was erfoigreich nur mogiich ist. solange die Ummantelung bezuglich ihrer 
vemnessenen Eigenschaften invariant verbleibt. Besonders vorteilhaft ist eine derartige 
Vorgangsweise fur den Schutz von Chips, insbesondere VLSI-Chips, wie sie in Chipkarten 
enthalten sind. 

30 Prinzipiell ist es mogiich, Mikroprozessoren, Recheneinheiten, Platinen oder auch 

bellebig groSe, diese Einheiten enthaltende Einrichtungen mit derartigen Schutzschichten 
bzw. Ummantelungen, gegebenenfalls auf Teilbereichen oder iiber ihre gesamten 
Oberflachen zu versehen. Die geschutzten Einheiten stehen lediglich uber die zum 
Datentransfer vorgesehenen Ubertragungseinheiten, z.B. Leitungen, Antennen, Sender fur 

35 Magnetimpulse oder elektrische Impulse, Datenieitungen usw. mit externen elektronischen 
Einrichtungen in Verbindung. Zur Ermittlung der Signatur bzw. zur Feststellung der 
Unversehrtheit der Ummantelung oder zur Uberprufung der Signatur bzw. zur gewunschten 
VenA/ehdung der Signatur wahrend des Betriebs der Einheit, sind in der Einheit 
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1 entsprechende Daten und/oder Programme a priori gespeichert enthalten bzw. be! der 
Initialisierung zumeist mit der Signatur verschliisselt eingespeichert worden, die eine 
entsprechende Funktion der Einheit gewahrleisten. jedoch ohne von auRen her be! dieser 
Tatigkeit beeinfluRt werden konnen. 
5 Das vorliegende Verfahren verhindert zwar nicht einen mechanischen bzw. 

gewaitsamen Zutritt bzw. Zugriff zu den elektronischen Einheiten oder ein Abfuhlen des 
Inhaltes dieser Einheiten, jedoch wird das Gewinnen von "brauchbaren" Informationen bei 
der Attacke ganzlich verhindert; das Resultat dieser die Signatur selbst unwiderrufiich 
abandernden Attacke ist es, daft aufgrund der geanderten Signatur bzw. nicht mehr 
10 ordnungsgemali erfotgenden EntschlCisselung der gespeicherten Daten und/oder 
Programme ein Fehlverhalten der Einheit eintritt und diese Einheit somit vollig unbrauchbar 
geworden ist. 

Die Signatur der Ummantelung Ist nicht nachbiidbar, da die bei der Initialisierung 
ermittette ursprungliche Signatur nicht bekannt und vorteilhaftenA/eise auch nicht 

15 gespeichert ist und auch die bei einer Verletzung der Ummantelung hervorgerufenen 
Anderungen der Signatur nicht erkannt werden konnen. Des welteren konnen die dem 
initialen Ermittlungsverfahren fur die Signatur zugrundeliegenden Daten und Parameter der 
Einheit nicht ausgelesen werden. da programmaliig Vorkehoingen gegen ein derartiges 
Auslesen vorgesehen werden konnen und femer eine Entschiiisselung der gespeicherten 

20 Daten nur bei Kenntnis der ursprunglichen. bei der Attacke aber veranderten. Signatur in 
richtiger Weise erfolgen konnte. Fur den Fall aber. da/1 die Signatur durch einen 
mechanischen Eingriff in nicht behebbarer und nicht nachahmbarer Weise abgeandert 
worden ist, sind allerdings die gespeicherten Daten und Programme unwiderrufiich verloren. 
Es ist zwar moglich, die Einheit, soferne sie durch den Zugriff nicht Schaden eriitten hat, 

25 als Bauteii weiter zu verwenden bzw. neu zu initialisieren bzw. zu programmieren; die in ihr 
enthaltene Funktion bzw. enthaltenen Daten sind jedoch unwiderrufiich verloren. 

Unter Signatur wird jede unter VenA/endung von bei unverletzter Ummantelung 
invariant bleibenden Grolien bzw. MelSwerten ermitteite Wertezusammenfassung 
verstanden; diese Zahl wird mit einer vorgegebenen Stellenanzahl bzw. auf diese 

30 Stellenanzahl gerundet festgelegt. 

Vorteilhafte Ausfuhrungsformen der Erfindung sind der folgenden Beschreibung. 
den Zeichnungen und den Patentanspruchen zu entnehmen. 

im folgenden wird die Erfindung anhand der Zeichnungen naher eriautert. 

Fig. 1 zeigt das Prinzip einer erfindungsgemali gesicherten Einheit, Fig. 2 und 3 

35 zeigen schematisch eine Draufsicht und einen Schnitt durch eine erfindungsgemalie 
Einheit. Fig, 4 zeigt schematisch den Schaltungsaufbau einer erfindungsgemalien Einheit 
und Fig. 5, 6. 7 und 8 schematisch Anwendungsbeispiele. 
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Fig. 1 zeigt schematisch eine erfindungsgemaR geschutzte Einheit 1, im 
voriiegenden Fall einen Modul bzw. eine mit Hardware bestuckte Platine. der bzw. die von 
einer Schutzschicht bzw. Ummantelung 2 allseitig umgeben ist. Diese Ummantelung 2 kann 
eine die Einheit 1 ein-. mehr- Oder allseitig umgebende (Kunststoff)Schicht sein. die 
vorteilhafterwelse zumindest langs einer Dimension bezCiglich ihrer elektrischen und/oder 
elektroniagnetischen Eigenschaften inhomogen ist. Eine derartige Inhomogenitat kann z.B. 
durch Anderungen der Dicke der (Kunststoff)Schicht und/oder durch EinschluR von nicht 
bzw. nicht Teicht mit dem Schichtmaterial z.B. Glas, Polymeren bzw. Kunststoff, Gummi. 
Metall- bzw. Halbmetalifilmen, Papier od.dgL mischbaren, unregelmaSig verteilten 
Materiaiien bewirkt warden, insbesondere, wenn diese Materialien z.B. Metallpigmente, 
Metallfaden, RuGpartikel, Kohlefasem od.dgl. sind. Bei der Wahl dieser Materiaiien soilte 
auch darauf Rucksicht genommen werden, daft im Falle einer mechanischen Beschadigung 
relativ grofie Anderungen der Eigenschaften der Ummantelung bewirkt werden, sodafS 
Anderungen in der durch diese geanderten Materialeigenschaften bedingten Werte der 
Signatur entsprechend groli und leicht feststellbar sind. Vorteilhafterwelse liegt die 
elektrische Leitfahlgkeit der Ummantelung zwischen der eines Isolators und der eines 
metallischen Leiters, urn die Empfindlichkeit der Mellsensoren und die Anzahl der Stellen P. 
Q in Grenzen halten zu konnen. Die Dicke der Ummantelung 2 ist nicht von grundsatzlicher 
Bedeutung und hangt vom Anwendungsfall ab. 

Als zu schiitzende Einheiten 1 kommen insbesondere Prozessoren. 
Recheneinheiten. Chips, Mikroprozessoren bzw. alle elektronischen Bauteile ' bzw. 
Konfigurationen in Frage, die selbsttatig Rechenoperationen- bzw. selbstandtg die 
vorgegebenen Schritte zur insbesondere initialen Ermittlung einer Signatur bewaltigen bzw. 
ein entsprechendes Programm abarbeiten konnen bzw. alle Einrichtungen und 
Gegenstande, die derartige Einheiten 1 umfassen. 

In Fig. 2 ist schematisch als zu schiitzende Einheit 1 ein nicht im Detail dargestellter 
Mikroprozessor MP gezeigt, der Anschlusse 3 besitzt. die aus der Ummantelung 2 
herausgeftihrt sind. Wie Fig. 3 im Schnitt zeigt, ist in diesem Fall der Mikroprozessor MP nur 
auf seiner Oberflache von der Ummantelung 2 abgedeckt. Die Mikropads bzw. Anschlusse 
3 konnen auf ubiiche Weise mit einer Abdeckschicht 6 gegen elektrischen Kontakt mit .der 
Ummantelung 2 abgedeckt sein und die Ummantelung 2 schutzt den Mikroprozessor MP 
gegen einen mechanischen Angriff auf seiner diesbeztiglich empfindlichen Oberflache. Ein 
Angriff gegen den Mikroprozessor MP auf dessen Unter- bzw. Tragerseite 4 wurde diesen 
bereits durch den stattfindenden Angriff selbst zerstoren. 

Um entsprechende Verbindungen zwischen der zu schiitzenden Einheit 1 und der 
Ummantelung 2 fur die Signalbeaufschlagung in Signalaufgabestellen P und fur die 
Messung der Mefiwerte in MeSstellen Q zu erstellen, kann insbesondere bei Chips Oder 
Mikroprozessoren die oberste Aufbauschichte 18 dieser Einheiten (Fig. 5) selbst 
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herangezogen werden Oder es werden entsprechende elektrische Leiter(bahnen) 14, 
insbesondere in der obersten Struktur eines Mikroprozessors MP, verwendet bzw. 
ausgebildet, die an den Signalaufgabestellen P und Me&stellen Q mit der Ummantelung 2 
in Verbindung stehen. Es ist insbesondere bei Chipkarten vorteiihaft, wenn diese Stellen 
sehr klein, in der GroSenordnung von einigen pm^, ausgebildet werden; be! 
Platinenummantelungen sind Stellen mit Fiachen im mm^-Bereich durchaus mdglich. Zur 
Ausbildung der Signalaufbringungsstellen P und der MeSstellen Q konnen die Leiterbahnen 
14 bis auf^kleine leitende Bereiche mit einer elektrisch isolierenden Schicht abgedeckt 
werden und diese Bereiche stehen mit der Ummantelung 2 kontaktmafiig in Verbindung. 

An Signalaufgabestellen P werden von der Einheit 1 selbst Signale, insbesondere 
elektrische Signale bzw. Signalimpulse, z.B. Strom und/oder Spannungswerte und/oder 
elektromagnetische Signale (Felder), beliebiger Art angelegt Diese Signale werden vom 
Mikroprozessor MP bzw. von der Einheit 1 selbst bzw. von von der Einheit gesteuerten 
Signalgeneratoren gemali den bei der Initialisierung unabanderlich vorgegebenen Daten 
und/oder Programmen erzeugt und gegebenenfalls iiber eine Vertelleinrichtung, z.B. einen 
Selektor 19 oder einen Buffer 11 an zumindest eine. vorzugsweise eine Anzahl von 
Signalaufgabestelle(n) P angelegt. Ein oder eine Mehrzahl dieser Signal(e) wird (werden)- 
mit definierter GroBe und/oder Zeitdauer gleichzeitig oder in vorgegebener zeitlicher 
Reihenfolge an die festgelegten Signalaufgabestellen P angelegt. 

In den Melistellen Q werden mit Sensoren, z. B. elektromagnetischen MeReinheiten 
bzw. Analog/Digitalwandler 5, die von der Signalbeaufschlagung resultierenderi 
MeBgrofien abgenommen. Die Ermittiung bzw. Abnahme der Mefiwerte erfolgt gleichzeitig 
Oder zeitverzogert zu der Signalaufbringung fur eine definierte Zeitspanne und/oder zu 
definierten Zeitpunkten, gegebenenfalls gleichzeitig fur mehrere Me(istellen Q. Es ist auch 
moglich, eine statische Signalaufbringung und eine statische Messung vorzunehmen. 

Prinzipiell ist es auch moglich, an einer Signalaufgabestelle P mehrere Signale 
hintereinander aufzugeben. Vorteilhafterweise wird jedoch derart vorgegangen, dafi in einer 
unveranderlich vorgegebenen Mehrzahl von lagemaSig invarianten Signalaufgabestellen P 
unveranderlich definierte, insbesondere fur die einzelnen Signalaufgabestellen 
unterschiedliche Signale an die Ummantelung 2 angelegt werden und dali an einer 
unveranderlich vorgegebenen Mehrzahl von lagemaSig invarianten MeSstellen Q die 
resultierenden MeBwerte in vorgegebener Weise abgenommen werden. Die Aufgabe der 
Signale und die Ermittiung der MeSwerte erfolgt immer nach denselben invarianten 
Kriterien, sodaS bei jedem Signalaufgabe-Meliwertermittlungs-Zyklus dieselben Resultate 
zu enA/arten sind. Diese Resultate bleiben invariant, solange die Ummantelung 2 
unveranderten Aufbau bzw. unveranderte Eigenschaften besitzt und sind fur die 
Schutzschicht bzw. Ummantelung 2 und somit auch fur geschutzte Einheit 1 
charakteristisch. Sobald eine Veranderung der Signatur der Ummantelung 2 durch 
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mechanische Oder eine andere Veranderung, z. B, Durchbohren Oder Anritzen, ihres 
Aufbaus eintritt, geht die bei der Initialisierung ermittelte und seit diesem Zeitpunkt invariant 
gultige Signatur unwidenruflich verloren und da eine geanderte Signatur von der Einheit fur 
die Entschlusselung der gespeicherten Daten und/oder Programme bzw. fur ihren Betrieb 
nicht verwendet werden kann, ist ein sinnvoller Betrieb dieser Einheit nicht melir moglicfi. 

Die erhaltenen MeSwerte konnen entweder in der erhaltenen Form zu einer Signatur 
zusammengefalit werden oder sie werden zur Signaturermittlung mittels vorgegebener 
Funktionen matliematisch miteinander verknupft, z.B. kann ein Zahlenvektor der MeBwerte 
als Signatur fur die Ummanteiung bestimmt werden. Die Signatur konnte aucli von der Zahl 
gebildet werden, die durch mathematische Abanderung der IVIeBwerte, z.B. Einsetzen der 
Me&werte in Funktionen als Veranderiiche ermittelt wird. Jede derart enmittelte Signatur 
bzw. Zalil bleibt invariant bzw. kann in derselben Form bzw. Grofle immer wieder ermittelt 
werden, solange die Ummanteiung 2 beziiglich ihrer Eigenschaften invariant bleibt An sich 
konnen auch die von der Einheit 1 an die Ummanteiung 2 abgegebenen Signale in der 
Signatur Berucksichtigung finden. Auch weitere invariante Daten konnten in der Signatur 
beriicksichtigt werden; auch das Einsetzen der ermittelten Mefiwerte in eine (HASH)- 
Funktion ist mdglich; die sich ergebenden Funktionswerte konnen Teil der bzw. die Signatur 
seln. Die Ermittlung der Signatur erfolgt jedoch immer auf die bei der initialisierung;, 
vorgegebene Weise. 

Die dem Mikroprozessor bzw. Rechner fur seine Funktion bzw. seinen Betrieb 
aufgegebenen Daten und/oder Programme werden bei der Initialisierung der Einheit 1 
zumindest teilweise mit der initial ermittelten Signatur verschlusselt gespeichert. sodall bei 
jedem Betriebsbeginn diese Daten und/oder Programme sinnvollerweise nur dann 
abgearbeitet werden konnen, wenn fur diese Abarbeitung - gegebenenfalls innerhalb 
vorbestimmter Grenzen - die zur Verschiusselung eingesetzte Signatur bei der bei 
Betriebsbeginn jeweils neueriich erfolgenden Signaturermittlung richtig erhalten wird. Es 
wird somit vor jeder neuen Betriebsaufnahme die Signatur neu ermittelt und entweder mit 
der initial ermittelten Signatur verglichen Oder es wird vorgesehen. daB die unter 
Venwendung der initialen Signatur verschlusselt gespeicherten Daten und/oder Programme 
zwangslSufig nur mit der neuen Signatur entschlQsselt bzw. abgearbeitet werden konnen. In 
beiden Fallen fuhrt eine Diskrepanz zwischen der initialen und neu ermittelten Signatur zu 
einer Fehlfunktion der Einheit Vorteilhaftenweise wird die initial ermittelte Signatur nicht 
gespeichert, sondern wird geioscht bzw. ven^^orfen, nachdem sie zum Verschlussein der 
initial aufgegebenen Daten und/oder Programme verwendet wurde. Damit wird die 
Sicherheit gegen Zugriff bzw. Entschlusselung des Inhaltes der Einheit erhoht 

Fig. 4 zeigt schematisch einen Aufbau eines mit erganzenden elektronischen 
Bauteilen 5, 11 und Leitungen 14 versehenen Mikrochips, wobei von dem Prozessor MP 
uber einen Buffer 1 1 eiektrische Signale an die Signalaufgabesteilen P abgegeben werden. 
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Der Empfang der MeligroBen von den MeBstellen Q erfolgt ubereinen MeRsensor 23 und 
den Analog/Digitalwandler 5. Es kann vorgesehen sein, da(i sowohl der Buffer 1 1 als auch 
der Analog/Digitalwandler 5 einen Selektor umfassen. mit dem die Signale gleichzeltig 
und/oder der Reihe nach an eine Mehrzahl von Signalaufgabestellen P angelegt werden 
konnen bzw. eine Anzahl von MeGsensoren 23 bzw. Melistellen Q gleichzeitig oder der 
Reihe nach abgetastet werden konnen. Die geschutzte Einheit 1 kann uber eine 
Datenaustauschleitung 9 mit einer externen Einheit 10 kommunizieren, ohne daH der 
Schutz fur cJie elektronische Einheit 1 in irgendeiner Weise beeintrachtigt ist. In gleicher 
Weise konnte auch mit einer in der Einheit 1 enthaltenen und von der Ummantelung 2 
geschutzten Datenubertragungseinrichtung, z.B. einer Magnet- und/oder Sendeimputse 
empfangenden und/oder abgebenden Kommunikations-Einheit bzw. einer Antenne. ein 
Datenaustausch mit der AuGenwelt vorgenommen werden. Der Mikroprozessor MP 
exekutiert aus dem RAM 12. An die Signalaufgabestellen P kann bei Bedarf ein VSS- oder 
ein VCC-Pegel angelegt werden, somit kann auch die Signalintensitat als Meliwert 
herangezogen werden. 

Es ist einfach. die Leitungen 14. die MeBstellen P und/oder Q, Signalgeneratoren 
und MeBsensoren, Analog/Digitalwandler 5 bzw. Buffer 11 entweder zusatzlich in 
vprhandene elektronische Recheneinheiten zu integrieren oder mittels bereits in der 
elektronischen Einheit 1 vorhandenen Leitungen bzw. Schaltbauteilen zu realisieren. Jn dem 
ubiicherweise vorhandenen Speicher 12. der an den Mikroprozessor MP angeschlossen 1st, 
kann die Signatur gespeichert werden bzw. Signaturvergleiche konnen dort erfolgen bzw. 
erfolgt die Speicherung der initial aufgegebenen Daten und/oder Programme. 

In Fig. 3 ist der Angriff gegen eine geschutzte elektronische Einheit, im voriiegenden 
Fall ein Mikroprozessor MP, so wie er in Fig. 2 in Draufsicht dargestellt ist, mittels einer 
Nadel 7 dargestellt. In dem Augenblick, in dem die Nadel 7 die Ummantelung 2 durchdringt. 
bewirkt die Verletzung der Ummantelung 2 eine unwiderrufliche VerSnderung der Signatur. 
Angedeutet sind femer eine Signalaufgabestelle P und eine Mefistelte Q, die mit 
entsprechenden Leiterbahnen 14 an den Mikroprozessor MP angeschlossen sind. 

Zur Ermittlung einer Signatur konnte z.B. vorgesehen sein, daB gleichzeitig oder der 
Reihe nach an funf Signalaufgabestellen P die Spannungswerte von z.B. +3.+1,+4,0,+1/2 
Volt angelegt werden und an einer Anzahl von MeBstellen Q die dort auftretenden 
Spannungs- und/oder Stromwerte bzw. deren Verlaufe und/oder deren Werte 
gegebenenfalls nach einer bestimmten Zeitspanne ais MeBwerte abgenommen werden. Die 
MeBwerte werden sodann allenfalls nach einer vorgegebenen mathematischen Umformung 
zur Ausbildung einer Signatur bzw. Zahl herangezogen. Prinzipiell ist es auch moglich, 
durch entsprechende Ausbildung der Signalgeneratoren und Signalaufgabestellen P und 
MeBsensoren bzw. MeBstellen Q kapazitive Signale bzw. elektrische Felder als Signale 
einzusetzen bzw. als MeBgroBe zu messen. 
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Soferne eine elektronische Einheit von einer Ummantelung 2 auf mehreren Seiten 
umhullt wird. ist es vorteilhaft. Mefipunkte Q und/oder Signalaufgabepunkte P an jeder 
dieser Flachen vorzusehen, Eine typische Anzahl von MeSpunkten Q und 
Signalaufgabestellen P ist zumindest jeweils 20 bis 40 Signalaufgabestellen und 
Melipunkte pro cm^ der Ummantelung 2. Die Anzahl der MeBstellen Q und 
Signalaufgabestellen P hangt auch von der Graiie und Art der Signale bzw. von dem 
Material der Ummantelung 2 ab. Aus Fig. 1 ist ersichtlich. dafi an die 
Signalaufgabestellen P und an die MeSstellen Q elektrische Leiter 8 angeschlossen sind, 
welche in verschiedener Lange und/oder verschiedener Dicke und/oder verschiedener Lage 
in die Ummantelung 2 hineinreichen. Damit kann die Inhomogenitat der Ummantelung 2 
hervorgerufen bzw. verstarkt und die Signalaufgabe bzw. die Messung der resultierenden 
Mefigrofien erieichtert warden. Die Form der zu schutzenden elektronischen Einheit 1 ist 
eher nicht relevant, da Ummantelungen 2 aus Kunststoff oder nahezu vergleichbaren 
Materiaiien auf alle beliebig gestalteten Oberflachen bzw. urn Gegenstande herum 
aufgebracht warden konnen. 

Des weiteren ist zu bemerken. daS es in der Praxis nahezu unmoglich ist, auch auf 
zwei gleiche Einheiten 1 idente Ummantelungen 2 aufzubringen, da bereits aufgrund von 
HerstellungsunregelmaSigkeiten. Oberflachenungenauigkeiten usw., die auf an sich gleich 
gestaltete Einheiten 1 aufgebrachten Ummantelungen 2 bereits unterschiedliche 
Eigenschaften besitzen, die fur die Ermittlung einer fur die Ummantelung charakteristischen 
Signatur in ausreichender Zahi unterschiedliche Meliwerte zur Verfugung steilen. Es wCirde 
auch ausreichen, bei identischen Ummantelungen die Lage der Signalaufgabestellen P und 
der Melistellen Q von zwei Einheiten 1 zu variieren, um fur diese Einheiten 
charakteristische und unterschiedliche Signaturen zu erhaiten. In die Signatur der 
Ummantelung 2 gehen ferner nicht nur die Eigenschaften der Ummantelung 2 ein. sondem 
auch (Oberflachen) Eigenschaften der zu schutzenden Einheit 1 ein, insbesondere dann, 
wenn die Einheit 1 flachig mit der Schutzschicht bzw. Ummantelung 2 in Verbindung steht 
Allenfalls wird deshalb zwischen der Ummantelung 2 und einer Schutzschicht eine 
Isolierschicht angebracht. An sich konnte bereits eine Beruhrung bzw. ein Aniegen eines 
elektrischen oder elektromagnetischen Feldes die Signatur - ailerdings reversibel - 
verandem, soferne nicht fur eine ausreichende Abschirmung der Ummantelung 2 gegen 
derartige Einflusse vorgesehen ist. 

Als Sensoren 23 fur die MeUwerte konnen entsprechende analoge Schaltungen 
eingesetzt werden, die an Analog/Digitalwandler 5 angeschlossen sind. Es konnen an sich 
beliebige Einrichtungen zur Ermittlung der Mefiwerte vorgesehen bzw. an den 
Mikroprozessor bzw. Rechner angeschlossen sein. 
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1 Wie in Fig. 6 dargestelit, konnte auch zwischen der zu schiitzenden Einheit 1 und 

der Ummantelung 2 ein entsprechender Freiraum 16 ausgebildet warden, in dem zu 
schutzende GegenstSnde 15 angeordnet warden konnen. Die elektronische Einheit 1 und 
der Gegenstand 15 sind ailseitig durch eine obere Ummantelung 2' und eine Basis- 
5 Ummantelung 2" gegen Zugriff geschQtzt und zumindest an einer der beiden 
Ummantelungen 2' sind Signaiaufgabepunkte P und MelSstellen Q ausgebildet, Mit einer 
Zwischenwand 21 konnten die Einheit 1 und der Gegenstand 15 getrennt angeordnet 
werden. An'sich ware es auch rndglich. z. B. die Basis-Ummantelung 2" aus Stahl Oder 
anderem Widerstand gegen Zutritt leistendem Material auszubilden und darauf die von der 

10 Einheit 1 uberwachte Ummantelung 2' als Schutz gegen unerlaubten Zutritt aufzubringen. 
Soferne die Basis-Ummantelung 2" bei einem Zugriff zum Gegenstand beschadigt wird, ist 
dies sichtbar; soferne die elektronisch geschutzte obere Ummantelung 2' verietzt wird, 
bedingt dies eine Fehlfunktion der Einheit 1 aufgrund der veranderten Signatur. Daraus 
kann festgesteilt werden, ob versucht wurde, sich dem. schutzenden Gegenstand 15 

15 anzunahem. Die in Fig. 6 dargestellte Anordnung kann noch mit einer Umhullung bzw. 
Schutzhulle abgedeckt bzw. umschlossen werden. 

Fig. 5 zeigt eine Anordnung. bei der auf einem Trager 17 ein Mikrocomputer MC 
angeordnet ist. dessen strukturellen Aufbau 18 auf einer untereh Tragerschicht 4 
ausgebildet wurde und auf dem Leiterbahnen 14 aufgebracht bzw. ausgebildet sind. die 

20 durch die Ummantelung 2 nach oben abgedeckt sind. Die Ummantelung 2 kann mit einer 
Deckschicht 22 abgedeckt werden, die die Signaturwerte der Ummantelung 2 aber eher- 
nicht mitbestimmen soil. Ober eine AnschluRleitung 3 steht der zu schutzende: 
Mikrocomputer MC mit einer Dateneingabe- und/oder Datenausgabeeinheit 10 in 
Verbindung, die von der Deckschicht 22 ebenfalls abgedeckt ist. Eine derartige Anordnung 

25 kann insbesondere bei einer Scheck- bzw. Bankomatkarte mit Chip- bzw. Mikroprozessor 
vorgesehen werden. Ein Zugriff von seiten des Tragers 17 durch die Basisschicht 4 des 
Mikroprozessors MC zerstort diesen unwiderruflich; ein Zutritt durch die Ummantelung 2 
zerstort die Signatur und damit ebenfalls die Funktion des Mikroprozessors, sodaS die 
Einheit unbrauchbar geworden ist. 

30 Es ist moglich. wShrend des Betriebs der elektronischen Einheit, d.h. wahrend der 

Datenverarbeitung, die Signatur in bestimmten Abstanden zu uberprtifen und mit einer 
Weften^erarbeitung der Daten nur dann fortzufahren, wenn die Signatur mit einer 
gespeicherten vorangehend oder bei der Initialisierung ermittelten Signatur ubereinstimmt 
bzw. als invariant beurteiit worden ist. 

35 Als aufzugebende Signale kommen unter Umstanden auch Signaifolgen in Frage, 

bei denen gleiche oder unterschiedliche Signale bei den Signalaufgabestellen P der 
Ummantelung aufgegeben werden. Konstruktiv einfach ist es, wenn lediglich eine einzige 
Signalaufgabeeinheit vorgesehen ist. die an eine Anzahl von Signalaufgabestellen 
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glelchzeitig oder in einer bestimmten Reihenfolge die Signale aufgibt bzw. nur ein einziger 
MeSwertaufnehmer vorgesehen ist. der die MeSstellen gleichzeitig oder der Reihe nach 
abfuhlt. 

Die Ummantelung 2 kann durchsichtig oder undurchsichtig sein; vorteilhafterweise 
ist die Ummantelung 2 undurchsichtig, um kelne Hinweise auf die prazise Lage der 
Signalaufgabestellen P und l\/leSstellen Q zu geben. Uber die Ummantelung konnen 
beliebige weitere Schichten, Abdeckungen od. dgl. aufgebracht werden. 

In Fig. 4 ist beispielsweise ein tiber den Analog/Digitalwandler 5 an die Einheit 1 
bzw. den Rechner angeschlossener Temperatursensor 6 dargestellt, mit dem die jeweilige 
Temperatur der Ummantelung 2 festgesteilt werden kann. Da insbesondere die elektrischen 
und/oder elektromagnetischen Kennwerte der Ummantelung 2 temperaturabhangig sind, ist 
die jeweilige Temperatur der Schutzschicht 2 zum Zeitpunkt der Signaturermittlung von 
Bedeutung. Im Falle unterschiedlicher Temperaturen der zu schutzenden Einheit 1 bei der 
Initialisierung bzw. bei jeweiiigen Betriebsbeginnen oder Temperaturanderungen wahrend 
des Betriebs wCirden allenfalls unterschiedliche Signaturen ermittelt werden und sich die 
entsprechenden Folgen einstellen, Es ist somit vorteilhaft, fur eine bestimmte Anzahl von 
Temperaturbereichen jeweils bestimmte unveranderliche Werte der Signatur der 
Ummantelung 2 im Zuge der Initialisierung zu ermittein bzw. festzulegen. Die fur die 
einzelnen Temperaturbereiche ermittelten Signaturen Sj, vorteilhafterweise aber nur die 
Differenzwerte AS dieser fur die einzelnen Temperaturbereiche ermittelten Signaturen St 
zu einer Norm-Signatur Snorm, die bei einer gewahlten Basis- bzw. Normtemperatur 
ermittelt wurde, werden in der Einheit 1 bei der Initialisierung gespeichert (AS = Sj - Snorm). 
Die bei der Initialisierung im folgenden der Einheit 1 aufgegebenen Daten und/oder 
Programme werden zumindest teilweise mit der Norm-Signatur Snorm verschlusselt, Vor 
Oder im Betrieb der Einheit 1 stellt diese die Signatur St fur die Ummantelung 2 bei der 
gerade herrschenden Temperatur fest und berechnet aus dieser ermittelten Signatur St und 
dem gespeicherten Differenzwert AS fQr denjenigen Temperaturbereich, in den die 
henrschende Temperatur der Ummantelung 2 fallt. gemafi obiger Gleichung die Norm- 
Signatur Snorm mit der die Entschlusselung der gespeicherten Daten und/oder Programme 
erfolgt. Ist die Ummantelung 2 beschadigt worden, wird ein unrichtiger Wert fur die Signatur 
St ermittelt mit alien Folgen. 

Wenn in den Speichem der zu schutzenden Einheit lediglich Differenzwerte AS der 
fur einzelne Temperaturbereiche ermittelten Signaturen St und einer Norm-Signatur Snorm. 
die z.B. bei 25*0 ermittelt wurde, enthalten sind. so ware sogar das Ausspahen der 
Differenzwerte AS nicht aussagekraftig, da die Norm-Signatur Snorm nicht ermittelt werden 
kann. 
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1 Bei der Enmittlung der Signatur. insbesondere der Signaturen St fur einzelne ^ 

Temperaturbereiche, wird vorteilhafterweise derart vorgegangen, daS die ermittelten 
Signaturwerte bzw. Zahlen gerundet warden, derart. dali die letzte gerundete Stelle 
innerhalb dieses jeweiligen Temperaturbereiches vollig invariant bleibt. Urn den 
5 Temperaturgang der Signatur in dem Intervall zu begrenzen werden ailerdings so wenig wie 
moglich Stellen abgeschnitten bzw. werden ZehnerCibergange bzw. die Bit-Spmnggrenzen 
hauptsSchlich durch Verandenjng der aufgegebenen Signale im Zuge der Initialisierung 
ausgeglichen. 1st etwa eine Signatur bzw. Zahl gemaS der Erfindung zu "runden", so wird 
darauf geachtet. dad bei der Wiederermittlung der Signatur der gleiche Signaturwert 

10 entsteht. Man hat daher zu achten, da(i kein Meflwert w nach der Rundung aufgrund einer 
Temperatur- Oder MefStoleranz einmal W und das nachste Mai W+1 ergibt. Demzufolge wird 
der MelSwert w auf n Stellen abgeschnitten. Liegt der abgeschnittene Wfert am Rande des 
Wertebereiches (besonders nahe der 0 Oder des groftten moglichen abgeschnittenen 
Wertes), dann werden andere Signale an die Signalpunkte angelegt, woraus andere 

15 Meftwerte resultieren und dies solange bis die letzte Stelle der Signatur fur die 
Grenztemperaturen des Temperaturbereiches gemessen, mit Sicherheit innerhalb dieses 
Stellenwertes bleibt und diesen Stellenwert nicht nach oben uberschreitet. 

Bel einer Rundung einer Signatur auf 5 Kommastellen wiirde die Zahl 
34* 345325123217218 auf 34.34532 gerundet werden, aber die Zahlen 

20 34.34532001778787 bzw. 

34,34532989898567 wiirden venA/orfen, weil sie bei einer weiteren Messung. 
eventuell nicht eindeutig Identifizierbar bzw. reproduzierbar waren. 

Zur Vorgehensweise ist zu bemerken, daB es kein Problem darstetlt. die Signalwerte 
im Sinne der Reproduzierbarkeit im Speicher zu haben, da dadurch keine verwertbare 

25 Information uber die MeBwerte und damit uber die Signatur, die nicht gespeichert werden 
sollte, resultiert. Die fur die Signatur ermittelten Meliwerte konnen beispielsweise modulo 
einer Primzaht multipliziert werden. 

Fur die Initialisierung der elektronischen Einheit 1 wird Serge getragen. daS diese 
elektronische Einheit 1 ein Programm besitzt. das eine Signaturermittlung selbstandig 

30 vomimmt und samtllche, nach dieser Signaturermittlung fur die Initiaiisiemng erhaltene 
Daten und/oder Programme zum Teil oder zur Ganze mit der ermittelten Signatur 
verschlusselt. speichert und abarbeitet. Im Zuge des Betriebs der Einheit 1 von dieser 
gespeicherte Daten werden mit der jeweils neu ermittelten oder der allenfalts gespeicherten 
initial ermitttelten Signatur verschlusselt, gespeichert bzw. abgearbeitet. 

35 Prinzipiell konnen anstelle von elektrischen und/oder elektromagnetischen Signalen 

auch Schallsignale. Stoliwellen. Schwingungssignale usw. von der Einheit 1 mit 
entsprechenden Signalgebern an die Ummantelung 2 angelegt und an den MelSstellen die 
Meliwerte mit entsprechenden Melisensoren abgenommen werden, um mit diesen 
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MeBwerten eine Signatur auszubilden. Die Weiterleitung von Schallwellen. Schwingungen 
usw. in der Ummantelung 2 hangt direkt von deren Aufbau ab; wird der Aufbau mechanisch 
verandert, so verandem sich die abgenommenen Mefiwerte. da die Signalubertragung in 
der Ummantelung 2 verandert worden ist. 

Es ist vorteilhaft, wenn die bei der Initialisierung ermittelte Signatur nicht gespeichert 
wird, um ein Ausspahen und damit Entschlussein der initial gespeicherten Daten und/oder 
Programme zu verhindern. Es bringt bereits jedoch Vorteile, wenn die initial ermittelte 
Signatur gespeichert wird und bei jeder Inbetriebnahme ein Vergleich der initial 
gespeicherten mit der neu ermittelten Signatur erfolgt; damit kann einerseits der bei 
Initialisierung der Einrichtung erforderliche Programmieraufwand vemngert werden; des 
weiteren gleichen sich die Signaturen unterschiedlicher Einheiten mit Sicherheit nicht, 
sodaS auch bei Ausspahen der Signatur einer Einheit kelnerlei Ruckschlusse auf die 
Signaturen von anderen Einheiten gezogen werden konnen. Von Vorteil ist es. wenn auch 
bei der Ermittiung der Signaturen fur einzelne Temperaturbereiche die Norm-Signatur 
gemessen bei Normal-Temperatur, nicht gespeichert wird. 

Fig. 7 und 8 zeigen Ausfiihrungsformen von erfindungsgemaG ausgebildeten 
Chipkarten. Fig. 7 zeigt eine Chipkarte 25 mit Kontakten 24 und Fig. 8 zeigt eine 
kontaktlose Chipkarte 25. Die von einem Chip gebildete elektronische Einheit 1 ist im Fall 
der Fig. 7 mit Kontakten 24 versehen, die zu einem entsprechenden Datenaustausch mit 
externen Einheiten dienen. Der Chip 1 selbst ist im wesentiichen bis auf seine 
Kontaktfiache von einer Ummantelung 2 umgeben, die ihrerseits mit einer Isolationsschicht 
26 gegenuber dem Material der Chipkarte 25 isoliert ist. Mit P und Q sind die 
Signalaufgabestellen und die Melistellen schematisch dargestellt. Die Verbindung der 
Kontakte 24 mit dem Chip 1 erfolgt uber entsprechende Leiter 3. Das Material der Chipkarte 
25 kann an sich beliebig gewahit werden; ein unerwunschter Zutritt zum Chip 1 von seiten 
der Kontakte 24 herzerstort den Chip 1; ein Zutritt von seiten der Ummantelung 2 zerstort 
die Signatur unwiderruflich. 

Die Ummantelung 2 kann unter Umstanden auch mit der Einbettungsmasse 25 ident 
sein bzw. konnte auch ein Kleber seen, mit dem die Isolierschichte 26 festgehalten wird. 

Die in Fig. 8 dargestellte Chipkarte 25 zeigt eine kontaktlose Chipkarte, bei der auch 
die Antennenspule 10 in die Ummantelung 2 eingeschlossen ist. Es ist durchaus moglich, 
daB auch die Antenne 10 auQerhalb der Ummantelung bzw. der isolationsschicht 26 in das 
Material der Chipkarte 25 eingebettet ist. Im vorliegenden Fall ist somit die elektronische 
Einheit bzw. der Chip 1 allseitig von der Ummantelung 2 geschutzt. 

Die wesentiichen Vorteile der erfindungsgemaden Vorgangsweise sind, daS ein 
Eindringversuch nicht zu einer Zerstorung der zu schutzenden Einheit oder der 
Ummantelung fuhrt, sondern zur Situation, dafi die im Bauteil vorhandene Information nicht 
mehr entschlusselbar und daher nicht veoA/endbar wird. Die Anordnung ist so getroffen. da(i 
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sie sich besonders fQr Microchips eignet Die Sichemng erfoigt mit einer nicht von auBen 
reproduzierbaren Signatur. die aus der UnregelmaSigkeit des Abdeckmaterials bzw. der 
Ummantelung abgeleitet wird. Die Methode ist damit auch fur alle nichtfluchtigen Speicher, 
die schutzenswerte Information enthalten. geeignet. Ein Lflschen der Information und 
gesonderte Sensoren in diesem Bereich sind zum Schutz der Information daher nicht 
notwendig. 
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Patentanspruche: 

Verfahren zum Schutz von elektronischen Recheneinheiten, Prozessoren, 
Prozessorschaltungen, insbesondere Mikroprozessoren, Chips, od. dgl., Oder derartige 
Einheiten enthaltende Gegenstande gegen unerwunschten Zugriff, dadurch 
gekennzeichnet, 

- dali zumindest die einem, insbesondere mechanischem, Angriff bzw. Ausspahen 
ausgesetzte Seite bzw. Flache der zumindest einen Prozessor, z. B. einen 
Mikroprozessor und/oder Rechner und/oder Chip, umfassenden Einheit (1) mit einer 
Ummantelung bzw. Schutzschicht (2), vorzugsweise mit schwer identisch 
nachbildbaren, insbesondere in zumindest einer Dimension inhomogenen. 
elektrischen und/oder elektromagnetischen Eigenschaften, versehen oder 
abgedeckt wird, 

- dali von der mit der Ummantelung geschutzten Einheit (1). insbesondere elektrische 
und/oder elektromagnetische. MeSwerte, vorzugsweise Widerstand und/oder 
Kapazitat und/oder Strom und/oder Spannung und/oder magnetische Feider 
und/oder der zeitliche Verlauf dieser MeSwerte, an zumindest einer, vorzugsweise 
einer Mehrzahl von, vorzugsweise invariant; festgelegten Me(istelle(n) an und/oder 
in der Ummantelung ermittelt bzw. gemessen werden. nachdem an zumindest einer, 
vorzugsweise an einer Mehrzahl von, vorzugsweise invariant, festgelegten 
Signalaufgabestelle(n) an und/oder in der bzw. die Ummantelung (2) von der 
Einheit (1) definierte, Insbesondere elektrische und/oder elektromagnetische, 
Signale, vorzugsweise Strom- und/oder Spannungssignale, angelegt bzw. 
eingeleitet wurden, 

- und dali mit den Meliwerten und gegebenenfalls den Signalwerten und allenfalls mit 
weiteren von der mechanischen Unversehrtheit der Ummantelung abhangigen 
Meliwerten eine fur eine unversehrte bzw. eine durch ihre mit den angelegten 
Signalen untersuchten Eigenschaften definierte Ummantelung (2) bzw. eine fur die 
Ummantelung zum Zeitpunkt der Vermessung charakteristische Signatur gebildet 
wird. 

Verfahren nach Anspnjch 1, dadurch gekennzeichnet, dali die Ermittlung der Signatur 
im Zuge der Initiaiisierung der Einheit b2W. des Rechners erfolgt. 

Verfahren nach Anspruch 1 oder 2. dadurch gekennzeichnet, dali zumindest ein Teil 
der der Einheit bei ihrer Initiaiisierung aufgegebenen Daten und/oder Programme unter 
Einbindung der bei der Initiaiisierung ermittelten Signatur verschlusselt wird. 
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4. Verfahren nach einem der Anspruche 1 bis 3. dadurch gekennzeichnet, daa vor einer, 
insbesondere vor jeder Inbetriebnahme. und gegebenenfalls auch wahrend des 
Betriebes der Einheit von der Einheit selbst eine neuerliche Ermittlung der Signatur der 
Ummantelung unter Zugrundelegung von insbesondere denselben Bedingungen und 
Vorgangsweisen wie be! der Initialisierung der Einheit vorgenommen wird. 

5. Verfahren nach einem der Anspruche 1 bis 4, dadurch gekennzeichnet, da(S die im 
Zuge cfer Initialisierung ermittelte Signatur nach Verwendung zur Verschiussetung 
zumindest eines Teiles der nachfolgend eingegebenen Daten und/oder Programme 
verworfen bzw. nicht gespeichert bzw. unwiderruflich geloscht wird. 

6. Verfahren nach einem der Anspruche 1 bis 5, dadurch gekennzeichnet. daft die 
Signaiaufgabe, die Meliwertermittiung und die Signaturermittlung reproduzierbar 
vorgegeben sind. 

7. Verfahren nach einem der Anspruche 1 bis 6, dadurch gekennzeichnet. daR bei jeder* 
Inbetriebnahme die Signatur neu ermittelt und diese neu ermittelte Signatur zum 
Entschlussein der in dieser Einheit verschlusseit gespeicherten Daten und/oder 
Programme herangezogen wird. 

8. Verfahren nach einem der Anspruche 1 bis 7, dadurch gekennzeichnet, daB zumindest 
ein. vorzugsweise aHe Me(iwert(e), in ihrer ermittelten Form bzw. GroBe oder in einer' 
mathematisch abgewandelten bzw. veranderten Form, gegebenenfalls nach Einsetzen 
des(r) MeSwerte(s) als Veranderiiche in eine {HASH)Funktion zur Bildung der Signatur 
bzw. des Zahlenwertes der Signatur herangezogen werden. 

9. Verfahren nach einem der Anspruche 1 bis 8, dadurch gekennzeichnet, dali nur be! 
Feststellung bzw. Verwendung einer unverandert gebliebenen oder einer nur innerhalb 
von vorgegebenen Grenzen geanderten Signatur die Einheit den ordnungsgemalien 
Betrieb aufnimmt oder in den ordnungsgemalien Betriebszustand versetzt wird. 

10. Verfahren nach einem der Anspruche 1 bis 9, dadurch gekennzeichnet, daft die 
insbesondere zumindest in einer Dimension inhomogene Ummantelung durch 
vorzugsweise unvollstandiges Vermischen von unterschiedlichen. gegebenenfalls nicht 
bzw. nicht gut miteinander mischbaren Substanzen, z.B. durch Mischen von 
Kunstharzen bzw. -stoffen, Glas. Gummi od.dgl. und Metaliteilchen, Kohlefasern, 
RuBpartikel od.dgl., oder durch ungleichmafiiges Auftragen von zumindest einem 
Beschichtungsmaterial. z. B. Kunststoff, hergestellt wird. 
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11. Verfahren nach einem der Anspruche 1 bis 10, dadurch gekennzeichnet, daft die 
Beaufschlagung der Signalaufgabestellen mit Signalen und die Ermittlung der 
MeBwerte zur initialen Festlegung der Signatur und eine neuerliche Ermittlung Oder 
eine Oberprufung der Invarianz der Signatur. insbesondere vor jeder Inbetriebnahme 
der Einheit ausschlieftiich von der mit der Ummantelung geschutzten Einheit selbst 
vorgenommen wird. 

12. Verfahren nach einem der Anspruche 1 bis 11, dadurch gekennzeichnet, daft die im 
Zuge einer Inbetriebnahme neuerlich ermittelte Signatur nach Verwendung zum Ver- 
und/oder Entschlussein von gespeicherten und/oder zur Speicherung erhaltenen Daten 
und/oder Programmen venA/orfen bzw. nicht gespeichert bzw. unwiderruflich geloscht 
wird. 

13. Verfahren nach einem der Anspruche 1 bis 12, dadurch gekennzeichnet, daft die 
Auswahl und Reihenfolge der Beaufschlagung der vorhandenen Signalaufgabestellen 
und die Auswahl und Reihenfolge der Abtastung der Meftstellen, der Art und Grofie der 
Slgnale, mit denen die Signalaufgabestellen beaufschlagt werden, und die Art und 
Weise, in der die Mefiwerte ermittelt und zur Signatur geformt werden. Immer nach 
einem in der zu schutzenden Einheit durch bei der Initialisieruhg originar gespeicherte 
Daten und/oder Programme nach einem unabanderlich festgelegten Modus 
vorgenommen wird. 

14. Verfahren nach einem der Anspruche 1 bis 13, dadurch gekennzeichnet, daft bei der 
Initialisierung fur eine Anzahl von unterschiedlichen, insbesondere 
aufeinanderfolgenden. Temperaturintervallen der Ummantelung jeweiis eine Signatur 
ermittelt wird. 

15. Verfahren nach einem der Anspruche 1 bis 14. dadurch gekennzeichnet. daft nach 
Ermittlung von Signaturen fur eine Anzahl von unterschiedlichen, insbesondere 
aufernanderfolgenden, Temperaturintervallen der Ummantelung lediglich die 
Differenzen zwischen den fur die einzelnen Temperaturintervaile ermittelten Signaturen 
und einer bei einer vorgegebenen Normaltemperatur bei der Initialisierung ermittelten 
Norm-Signatur in der Einheit abgespeichert werden, und daft zumindest ein Teil der der 
Einheit insbesondere bei der Initialisierung aufgegebenen Daten und/oder Programme 
mit der Norm-Signatur verschlusselt werden. 
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16. Verfahren nach Anspmch 15, dadurch gekennzeichnet, dali bei einer Inbetriebnahme 
der Einheit aus den fur die einzelnen Temperaturbereiche gespeicherten Signatur- 
Differenzen der der herrschenden Temperatur der Ummantelung entsprechende Wert 
der Signatur-Differenz herangezogen und zu diesem Wert der bei der herrschenden 
Temperatur ermittelte Wert der Signatur addiert und damit die Norm-Signatur bei 
Normaltemperatur enmittelt wird. 

17. Verfahren nach einem der Anspruche 1 bis 16. dadurch gekennzeichnet, daB bei der 
Oberprufung einer vor Inbetriebnahme neuerlich ermittelten Signatur der SignatunA/ert 
desjenigen Temperaturinten/ailes zu Vergleichszwecken herangezogen wird, in dem 
die zum Zeitpunkt der Signaturemiittiung gemessene Temperatur der Ummantelung 
liegt Oder daB der Wert der Norm-Signatur fur die Oberprufung der Unversehrtheit der 
Ummantelung bzw. fur die Entscheidung betreffend die Zulassigkeit der 
Inbetriebnahme der Einheit und/oder das Abschalten derselben herangezogen wird. 

18. Anordnung zum Schutz von elektronischen Einheiten, die zumindest eine 
Recheneinheit bzw. eine Prozessoreinheit. z,B. einen Mikroprozessor und/oder einen 
Rechner. insbesondere einen Chip, umfassen, gegen unerwunschten Zugriff. 
insbesondere zur Durchfuhmng des Verfahrens nach einem der Anspruche 1 bis 17. 
dadurch gekennzeichnet, 

- daB zumindest die einem. insbesondere mechanischen. Angriff ausgesetzte Seite 
bzw. Flache der Einheit mit einer Ummantelung bzw. Schutzschicht (2). 
vorzugsweise mit schwer identisch nachbildbaren elektrischen und/oder 
elektromagnetischen Eigenschaften. zumindest teilweise versehen Oder abgedeckt 
ist. 

- daB die Einheit (1) zumindest eine Aufgabeeinrichtung (11) umfaBt. mit d er 
zumindest eine, vorzugsweise eine Mehrzahl von Signalaufgabestellen (P) an bzw. 
in der Ummantelung (2) mit definierten, elektrischen und/oder elektromagnetischen 
Signalen. vorzugsweise Strom- und/oder Spannungssignalen, beaufschlagbar ist. 

- daB die Einheit (1) zumindest eine Empfangseinrichtung (5) zur Ermittlung bzw. 
Messung zumindest einer MeBgrSBe bzw. eines MeBwertes umfaBt, die bzw. der 
von den aufgegebenen Signalen an zumindest einer. vorzugsweise an einer 
Mehrzahl von an bzw. in der Ummantelung (2) liegenden MeBstellen (Q) 
hervorgerufen sind (ist). 

- und daB zumindest einer. vorzugsweise aile der ermittelten MeBwerte zur 
gegebenenfalls mathematischen Ermittlung einer fur die Unversehrtheit der 
Ummantelung (2) charakteristischen, von der Einheit (1) im Zuge ihrer Initialisieoing 
ermittelten Signatur (S) verwendet ist bzw. sind. 
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1 19. Anordnung nach Anspmch 18, dadurch gekennzeichnet, daft in der Einheit (1) 
zumindest ein Teil der im Zuge der Initialisierung aufgegebenen Daten und/oder 
Programme mit der bei der Initialisierung ermittelten Signatur verschliisselt in einem 
Speicher (12) abgespeichert sind. 

5 

20. Anordnung nach Anspmch 18 Oder 19, dadurch gekennzeichnet, daU die Einheit (1) 
eine Prufeinheit zur Uberprufung einer jeweils vor Betriebsbeginn der Einheit (1) 
ermittelten Signatur bzw. zum Vergleich mit einer bei der Initialisierung ennittelten Oder 
mit einer vor einer vorangehenden Inbetriebnahme ermittelten Signatur vorgesehen ist 

10 bzw. die Einheit (1) eine derartige Oberprufung vornimmt. 

21. Anordnung nach einem der Anspruche 18 bis 20, dadurch gekennzeichnet, daG die 
Einheit (1) zur neuerlichen Ermittlung der Signatur vor einer Betriebsaufnahme 
eingerichtet ist und diese neuerlich ermittelte Signatur zur Entschlusselung der 

15 - gespeicherten Daten und/oder Programme heranzieht und/oder mit dieser neu 
ermittelten Signatur die wahrend des Betriebes erhaltenen Daten und/oder Programme 
verschlusselt abspeichert. 

22. Anordnung nach einem der Anspruche 18 bis 21, dadurch gekennzeichnet, dali der 
20 elektrische Widerstand der gegebenenfalls bezuglich ihrer elektrischen und/oder 

elektromagnetischen Eigenschaften inhomogen aufgebauten Ummantelung (2) 
zwischen dem eines Insolators und dem eines metallischen Leiters liegt. 

23. Anordnung nach einem der Anspruche 18 bis 22, dadurch gekennzeichnet, dali die 
15 Ummantelung (2) aus nicht bzw. nicht gut miteinander mischbaren Materialien 

aufgebaut ist und/oder aus zumindest zwei Materialien mit unterschiedlichen 
elektrischen und/oder elektromagnetischen Eigenschaften und/oder zumindest in einer 
Dimension, insbesondere bezuglich ihrer Dicke, Inhomogen aufgebaut und/oder aus 
mehreren Schichten unterschiedlicher Dicke und/oder unterschiedlichen Materialien 
aufgebaut ist. 

24. Anordnung nach einem der Anspruche 18 bis 23, dadurch gekennzeichnet, daS die 
Signaiaufgabestellen (P) und/oder die MeGstellen (Q) unregelmaSrg uber die 
Ummantelung (2), insbesondere uber deren Innenseite, verteilt festgelegt sind. 



25. Anordnung nach einem der Ansprtjche 18 bis 24, dadurch gekennzeichnet, da/i die 
Signal-Aufgabeeinrichtung (11) zumindest eine zumindest eine Strom- und/oder 
Spannungsquelle mit zumindest einer der festgelegten Signaiaufgabestellen (P) 
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1 verbindende Verteileinrichtung (19) umfalit, die von dem in der Einheit (1) enthaltenen 

Mikroprozessor und/oder Rechner (13) steuerbar bzw. an diesen angeschiossen ist 

26. Anordnung nach einem der Anspruche 18 bis 25, dadurch gekennzeichnet, daS in 
5 jeder MeBstelle (Q) ein Melisensor angeordnet ist, der gegebenenfalls uber einen 

Analog/Digitalwandler (5) an den in der Einheit (1) enthaltenen Mikroprozessor 
und/oder Rechner (1 3) angeschiossen ist. 

27. Anordnung nach einem der Anspruche 18 bis 26, dadurch gekennzeichnet. dafi die 
10 Einheit (1) zur Ermittlung der Temperatur der Ummantelung (2) einen Temperaturfuhler 

(6) umfaBt, dessen Signalausgang gegebenenfalls uber einen Analog/Digitalwandler 
(5) an den Mikroprozessor und/oder Rechner (13) der Einheit (1) angeschiossen ist. 

28. Anordnung nach einem der Anspruche 18 bis 27, dadurch gekennzeichnet, dali in dem 
15 Mikroprozessor und/oder dem Rechner (13) Speicherplatz zur Abspeichemng der initial.. 

ennittelten Signatur (S) und/oder fur fur einzelne Temperaturbereiche ermittelte 
: Signaturwerte (Sj) und/oder fur Differenzwerte (SAT) zwischen den Jeweiligen 
Signaturwerten (St) fur einzelne Temperaturbereiche und einer fur eine bestimmte 
Normal-Temperatur der Ummantelung (2) bei der Initialisienjng ermittelte Norm- 
20 Signatur (Snorm). 

29. Anordnung nach Anspmch 28. dadurch gekennzeichnet, daS die Einheit (1) einen-. 
Differenzbildner aufweist oder zur Differenzbildung eingerichtet ist, urn bei der 
Initialisienjng die Differenzen (AS) zwischen einer fur eine bestimmte Temperatur der 

25 Ummantelung (2) ermittelten Norm-Signatur (Snorm) und den fur bestimmte 

Temperaturintervalle der Ummantelung (2) ermittelten Signaturen (Sj) zu berechnen. 

30. Anordnung nach einem der Anspruche 27 bis 29, dadurch gekennzeichnet, daB die 
Einheit (1) zur Ermittlung der Norm-Signatur (Snorm) einen Addierer aufweist Oder zum 

30 Addieren eingerichtet ist, um die einer gemessenen Temperatur der Ummantelung (2) 

entsprechende gespeicherte Differenz-Signatur (AS) und die fur die vorhen-schende 
Temperatur ennittelte Signatur (St) der Ummantelung (2) zu addieren. 

31. Anordnung nach einem der Anspruche 18 bis 30, dadurch gekennzeichnet, dali die 
35 Signalaufgabeeinrichtungen und/oder die Empfangseinrichtung(en) mit den 

Signalaufgabestellen (P) und den MelSstellen (Q) uber Leiterbahnen (14) in direktem 
Kontakt bzw. in direkter leitender Verbindung stehen. 
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32. Anordnung nach einem der Anspruche 18 bis 31, dadurch gekennzeichnet, daS von 
den Signalaufgabestellen (P) und/oder von den MeSsteilen (Q) in die Ummantelung (2) 
unregelmaliig orientierte und/oder gestaltete Leiterbahnen (8) abgehen. 

33. Anordnung nach einem der Anspruche 18 bis 32. dadurch gekennzeichnet, dall die 
Ummantelung (2) direkt auf die zu schutzende Fiache(n) der Einheit (1) aufgebracht ist 
Oder dali die Ummantelung (2) zumindest Teil der Wand (2') eines zu schutzende 
Gegenstande (15) aufnehmenden Raumes (16) ist. in dem vortei'lhaftenA/eise auch die 
Einheit (1) selbst angeordnet ist. 

34. Anordnung nach einem der Anspruche 18 bis 33, dadurch gekennzeichnet, daS 
zwischen der Ummantelung (2) und der Einheit (1) und/oder zwischen der 
Ummantelung (2) und einer diese abdeckenden Schicht, z. B. Kunststoffschicht. eine 
Zwischenschjcht, insbesondere elektrische Isolierschicht, angeordnet ist. 

35. Anordnung nach einem der Anspruche 18 bis 34, dadurch gekennzeichnet, daB in 
keinem Speicher der Einheit (1) die bei der Initialisierung ermittelte Signatur enthalten 
ist. 

36. Anordnung nach einem der Anspruche 18 bis 35. dadurch gekennzeichnet, dalS die 
Anordnung Teil einer Chipkarte ist. 

37. Anordnung nach einem der Anspruche 18 bis 36, dadurch gekennzeichnet, daS der 
Chip einer Chipkarte, gegebenenfalls gemeinsam mit Ein- und Ausgabeeinheiten, 
zumindest auf einer Seite, vorzugsweise allseitig oder auf alien Seiten mit Ausnahme 
der Kontaktflachen von der Ummantelung (2) umgeben ist, wobei gegebenenfalls 
zwischen der Ummantelung und dem Kunststoffmaterial der Chipkarte zumindest eine 
elektrische Isolationsschicht angeordnet ist. 
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